購買前如何測試 HTTPS 代理的 TLS 與密碼套件相容性
HTTPS 代理可能在簡單連線測試中很快，卻在正式環境失敗，原因是用戶端、代理閘道與目的端無法就 TLS 版本、憑證信任或協商細節取得一致。這類問題常表現為籠統的交握錯誤、連線重設或難以解釋的應用程式逾時。
購買方應測試實際準備部署的用戶端與路線。本文提供適用於正向代理、瀏覽器自動化與資料蒐集系統的受控驗收方法，不要求關閉憑證驗證，也不需要探測第三方系統。
先區分兩條 TLS 邊界
HTTP 代理透過 CONNECT 承載 HTTPS 時，用戶端通常先由代理建立 TCP 隧道，再穿過隧道直接與目的端協商 TLS。若存取代理閘道本身也使用 TLS，就可能有兩條獨立安全邊界：用戶端到代理，以及用戶端穿過隧道到目的端。
不要合併兩者結果。分別記錄失敗邊界、伺服器名稱、協商出的協定版本、密碼套件、ALPN 結果與憑證鏈。代理登入成功既不能證明目的端 TLS 相容，也不能證明憑證有效。
明確購買驗收合約
測試前列出所有正式用戶端執行環境、瀏覽器版本、作業系統、目標地區、代理閘道、驗證方式與目的端類型，並為下列項目設定書面最低要求：
- 安全政策要求的 TLS 版本。
- 憑證鏈驗證與主機名稱比對。
- 協商後對 HTTP/1.1 或 HTTP/2 的要求。
- IPv4 與 IPv6 涵蓋範圍。
- 最大交握時間與可接受失敗率。
- 已核准的企業信任庫或流量檢查邊界。
不要把已淘汰 TLS 或弱密碼套件列為驗收要求。目標是符合安全政策的相容性，而不是不計代價地連通。
建立受控測試端點
使用自有或明確獲准營運的測試端點。為每個核准 TLS 設定分別準備端點：目前基準、政策仍允許的最舊版本、受限密碼套件、IPv4、IPv6，以及各項必要 ALPN 結果。所有正向測試都應使用與主機名稱相符的有效憑證。
再為每種預期拒絕準備一個隔離的負向端點，例如過期憑證、主機名稱不符或已停用協定。如果用戶端接受這些端點，即使請求回傳資料，也屬於安全失敗。
先測直連基準
從相同主機與執行環境直接連線每個受控端點，記錄 TLS 版本、密碼套件、憑證主體與簽發者、主機名稱結果、ALPN 協定、交握耗時與 HTTP 狀態。若直連失敗，應先修復用戶端或測試工具，再評估代理。
接著透過代理重複完全相同的矩陣，保持目的端、用戶端建置、DNS 模式與請求內容不變。成對設計能避免把一般來源站或用戶端故障誤判成代理問題。
執行相容性矩陣
| 維度 | 必測情況 |
|---|---|
| 用戶端 | 正式使用的每個瀏覽器、SDK 與執行環境 |
| 代理閘道 | 每個已購地區與閘道主機名稱 |
| 位址族 | 方案提供範圍內的 IPv4 與 IPv6 |
| TLS 設定 | 目前基準與政策允許的最舊版本 |
| 密碼套件 | 預設設定與核准的受限集合 |
| ALPN | 應用需要的 HTTP/1.1 與 HTTP/2 |
| 工作階段 | 新連線與受控重複使用連線 |
| 結果 | 有效連線成功與刻意無效憑證被拒絕 |
重複次數應足以揭露間歇性問題，但不可製造濫用流量。隨機化測試順序，避免單次維護時段或預熱連線快取只影響某一組結果。
始終保持憑證驗證
不要用不安全參數讓測試「通過」。對適用的每條 TLS 邊界完整檢查憑證鏈、主機名稱、有效期間與信任錨。若企業明確部署 TLS 檢查，應記錄其憑證授權單位、範圍、負責人與核准；絕不能默默信任意外簽發者。
不同機器出現憑證路徑差異時，可使用HTTPS 代理 TLS 憑證鏈稽核。不同工作負載需要不同信任根時，請採用代理 TLS 信任設定隔離指南。
依階段定位故障
重試前先分類：
- DNS：所選 DNS 模式無法解析代理閘道或目的端名稱。
- 代理連線：驗證前的 TCP 或代理端 TLS 失敗。
- 驗證：閘道拒絕憑證或政策。
- 隧道：
CONNECT未回傳成功回應。 - 目的端 TLS：協定、密碼套件、SNI、憑證或 ALPN 協商失敗。
- HTTP：TLS 成功，但應用回應無效或逾時。
只蒐集去識別化的錯誤類別與耗時，不記錄代理密碼、Bearer Token、工作階段 Cookie 或完整敏感 URL。HTTP 協定選擇可搭配代理 ALPN 協商稽核檢查。
設定可量化驗收門檻
依矩陣單元計算交握成功率、憑證驗證後的請求成功率及交握耗時 p50/p95。第一次嘗試與重試結果必須分開。合格門檻應要求負向憑證零誤接收、必要安全設定全部通過，並為偶發失敗設定書面標準。
若方案必須關閉驗證、啟用不支援的舊設定或加入未揭露的信任變更，應拒絕驗收。地區特有問題需提供準確閘道、時間戳記、用戶端建置與去識別化階段結果後再升級處理。
購買檢查清單
- 所有正式用戶端的直連與代理測試都通過。
- 必要 TLS 版本與核准密碼套件協商穩定。
- 無效憑證與主機名稱不符會失敗關閉。
- SNI 與 ALPN 行為符合應用需求。
- IPv4 與 IPv6 結果符合購買範圍。
- 未出現意外憑證簽發者。
- 首次成功率與尾端延遲達到書面標準。
- 閘道、用戶端與目的端故障分別報告。
- 日誌與證據不含憑證和私人資料。
常見問題
所有用戶端都必須協商出相同密碼套件嗎？
不一定。用戶端可能優先選擇不同但都已核准的套件。驗收應要求安全且符合政策，而不是強求所有執行環境得到完全相同的套件。
CONNECT 成功是否代表 HTTPS 已可使用？
不是。它只證明代理開啟了隧道，後續目的端 TLS、憑證驗證、ALPN 與 HTTP 請求仍可能失敗。
除錯時能否關閉憑證驗證？
只有安全政策明確允許時才能用於受控診斷，而且絕不能把該結果算作通過。正式驗收必須在完整驗證開啟時成功。
合規說明
只測試自有或明確獲准評估的端點與代理帳戶。遵守供應商限制、組織安全政策、隱私要求與目的端條款，不掃描無關主機，也不削弱正式環境安全控制。
